RGPD derecho acceso paciente Art 15 clínica · cómo gestionar 2026

1. Marco normativo · RGPD Art 15 + LOPDGDD + Ley 41/2002 interacción

El derecho acceso paciente clínica privada España 2026 está regulado capa normativa acumulable · cada norma con matices propios. (1) Reglamento General Protección Datos UE 2016/679 RGPD · Art. 15 derecho acceso datos personales · obligación responsable tratamiento facilitar paciente confirmación tratamiento + acceso datos + información sobre finalidades · categorías datos · destinatarios · plazos conservación · derechos · origen datos. (2) Ley Orgánica 3/2018 Protección Datos Personales y garantías derechos digitales LOPDGDD · transposición RGPD España · matices interpretativos sector sanitario. (3) Ley 41/2002 básica reguladora autonomía paciente y derechos obligaciones materia información documentación clínica · Art. 18 derecho acceso historia clínica · matices específicos sector sanitario complementarios RGPD. (4) Ley 14/1986 General Sanidad · marco general derechos paciente sistema sanitario español. (5) Normativa autonómica complementaria · cada Comunidad Autónoma puede haber desarrollado norma específica acceso historia clínica · ejemplos · Ley Catalunya 21/2000 documentación clínica · Decreto Andalucía 38/2012 historia clínica · normativa Comunidad Valenciana · Decreto Madrid 38/2008 · etc. (6) Criterios interpretativos AEPD Agencia Española Protección Datos · resoluciones sancionadoras + dictámenes sector sanitario + informes sobre derechos acceso historia clínica vs datos personales · interacciones específicas RGPD vs Ley 41/2002. La interacción concreta · RGPD Art. 15 aplica a TODOS datos personales paciente clínica trata (historia clínica + datos contacto + datos administrativos + comunicaciones + recordatorios + reviews · etc.) · mientras Ley 41/2002 Art. 18 aplica específicamente historia clínica con matices propios. Cuando paciente solicita acceso · puede invocar específicamente RGPD Art. 15 (más amplio) o Ley 41/2002 (más restrictivo en historia clínica) · o no invocar norma concreta y la clínica debe procesar petición bajo marco más favorable paciente.

2. Qué incluir mandatorio respuesta · lista completa exigible

La respuesta petición acceso paciente debe incluir información completa según Art. 15.1 RGPD · cualquier omisión es incumplimiento sancionable. Lista mandatoria · (1) Confirmación si se están tratando datos personales del paciente (sí/no claro). (2) Finalidades específicas del tratamiento · ejemplo · prestación asistencia sanitaria · gestión administrativa cita · facturación · comunicación recordatorios · investigación clínica si aplica · etc. (3) Categorías datos personales tratados · datos identificación + contacto · datos categoría especial salud Art. 9 · datos económicos facturación · datos comunicaciones marketing si consentimiento · datos consentimientos firmados · datos imagen si consentimiento marketing · datos navegación web si tracking. (4) Destinatarios o categorías destinatarios datos · proveedores PMS · proveedores email marketing · proveedor WhatsApp Business · laboratorio análisis si derivación · seguros médicos si paciente cubierto · profesionales médicos derivación · administraciones públicas si obligación legal · etc. (5) En su caso · transferencias internacionales datos terceros países y garantías aplicables · ejemplo · Stripe procesador pagos USA con cláusulas contractuales tipo CCT vigentes · Google Workspace email con SCCs vigentes. (6) Plazo previsto conservación datos o criterios determinarlo · ejemplo · historia clínica mínimo 5 años Ley 41/2002 con matices específicos cada documento · datos económicos 4 años fiscal · datos marketing hasta revocación consentimiento. (7) Existencia derechos rectificación · supresión · limitación · oposición · portabilidad. (8) Derecho presentar reclamación AEPD si paciente considera tratamiento incumple normativa. (9) Cuando datos no obtenidos directamente paciente · origen datos. (10) Si existe decisión automatizada incluyendo elaboración perfiles · información sobre lógica aplicada · importancia · consecuencias previstas tratamiento. Adicionalmente · COPIA datos personales objeto tratamiento · primera copia gratuita · copias adicionales coste razonable.

3. Plazo 30 días ampliable 60 · cómo computa exactamente

El plazo respuesta petición acceso paciente es 1 mes desde recepción solicitud según Art. 12.3 RGPD · ampliable a 2 meses más (3 meses total) si la complejidad o número solicitudes lo justifica. Cómputo plazo · (1) Día inicial · día siguiente recepción solicitud paciente · ejemplo · solicitud recibida lunes 14 mayo → plazo empieza martes 15 mayo. (2) Día final · mismo día numérico mes siguiente · ejemplo · plazo 1 mes desde 15 mayo termina 15 junio. Si día siguiente mes no existe (ejemplo · 31 enero + 1 mes = 28/29 febrero) cómputo último día mes. (3) Si día final cae sábado · domingo · festivo nacional · autonómico o local · plazo prorroga primer día hábil siguiente. (4) Festividades autonómicas y locales aplican según ubicación clínica responsable tratamiento. (5) Verano · plazos no se interrumpen agosto · pero gestión vacaciones recepción / DPO puede generar respuestas tardías · clínica debe planificar cobertura. Ampliación plazo 60 días adicionales · puede aplicarse cuando · (1) Complejidad petición justifica · ejemplo · paciente solicita histórico 20 años visitas + análisis + imágenes + comunicaciones · requiere consolidación múltiples sistemas. (2) Volumen peticiones acumuladas momento concreto · ejemplo · post-incidente seguridad varios pacientes solicitan acceso simultáneo. Procedimiento ampliación · clínica DEBE comunicar paciente dentro plazo inicial 30 días · ampliación + motivo + nuevo plazo · si no comunica oportunamente pierde derecho ampliación. Riesgo incumplimiento plazo · sanción AEPD probable 5.000-60.000 € sector clínico privado documentado + reclamación civil paciente daño moral 1.000-10.000 € casos típicos.

4. Verificación identidad · cómo confirmar sin exponer datos terceros

La verificación identidad solicitante es responsabilidad clínica responsable tratamiento · si entregas datos paciente a persona equivocada estás cometiendo brecha datos categoría especial salud que debe notificarse AEPD máximo 72h y comunicarse paciente afectado · con sanción adicional 60.000-300.000 € típica. Métodos verificación identidad aceptables · (1) Petición presencial paciente clínica · presentar DNI / NIE / pasaporte vigente + firma documento solicitud · más sencillo y seguro. (2) Petición telemática email o formulario web · debe contener · datos identificación paciente completos · adjunto copia DNI/NIE/pasaporte · firma electrónica si disponible · o respuesta solicitud entregada misma dirección email registrada paciente histórica (criterio AEPD admite si email reciente activo verificable). (3) Petición postal · documento firma manuscrita + copia DNI/NIE/pasaporte. (4) Petición vía representante legal · ejemplo · abogado paciente · médico forense · familiar autorizado · debe acreditar representación documento poder específico + identificación representante + identificación representado. (5) Petición vía herederos paciente fallecido · acreditación condición heredero (libro familia + testamento + certificado defunción) + DNI heredero. Criterios verificación insuficiente que generan riesgo · (1) Email cualquiera sin verificación adicional contra registro histórico clínica. (2) Llamada telefónica sin protocolo verificación robusto (preguntas seguridad documento registro). (3) Solicitud verbal recepcionista sin documentación firmada. (4) DNI escaneado calidad insuficiente · no verificable autenticidad. Buena práctica · cualquier petición acceso debe pasar verificación documentada antes proceder · si dudas identidad · solicitud documentación adicional o petición presentación presencial · documenta proceso verificación parte audit trail.

5. Tabla decisión · qué entregar según petición y limitaciones

6. Formato entrega · electrónico legible vs papel

El formato entrega datos paciente debe ser electrónico cuando solicitud llega medio electrónico · salvo que paciente solicite expresamente otro formato según Art. 12.1 RGPD. Buenas prácticas formato entrega · (1) Formato electrónico legible · PDF estructurado documento por categoría · ejemplo · "01-datos-personales.pdf" · "02-historia-clinica.pdf" · "03-radiografias.pdf" · "04-analisis.pdf" · "05-consentimientos.pdf" · "06-facturas.pdf" · "07-comunicaciones-marketing.pdf" · "08-logs-acceso.pdf". (2) Imágenes médicas formato DICOM si solicitado explícitamente paciente o profesional médico (compatible visualizadores médicos profesionales) o PDF si solo paciente uso personal. (3) Entrega vía email cifrado o portal seguro descarga acceso protegido contraseña · NUNCA email plano datos categoría especial sin cifrado adicional. (4) Si tamaño excesivo email · enlace descarga portal seguro con expiración 7 días + autenticación adicional acceso. (5) Documentos accesibles cumpliendo estándares accesibilidad WCAG si paciente discapacidad visual indicada. (6) Idioma español por defecto · catalán/gallego/euskera/valenciano si paciente solicitud expresa o jurisdicción autonómica aplicable. (7) Estructura cronológica clara dentro cada categoría · más reciente primero o más antiguo primero según preferencia clínica documentada procedimiento. Formato papel · solo si paciente solicita expresamente o petición llegó vía postal. (1) Impresión calidad legible · NO carbón · papel A4. (2) Encarpetado estructurado tabla contenidos · acceso facilitado paciente. (3) Entrega presencial clínica con firma recepción o envío postal certificado acuse recibo. (4) Recordar coste copias adicionales si paciente solicita múltiples copias mismo material. (5) Documentación entrega registrada audit trail con fecha · firma paciente recibido · contenido entregado documentado.

7. Primera copia gratuita · costes copias adicionales razonables

Art. 15.3 RGPD establece primera copia datos gratuita obligatoria · copias adicionales pueden conllevar canon razonable basado costes administrativos reales. Aplicación operativa clínica · (1) Primera copia · siempre gratuita · sin excusas. Incluye entrega electrónica PDF estructurado o formato físico papel según solicitud paciente. (2) Copias adicionales mismo material · clínica puede aplicar canon razonable cubrir costes administrativos. Recomendación AEPD · canon NO puede ser disuasorio ni generar beneficio comercial · solo cubrir coste material + tiempo personal procesamiento. Rangos razonables documentados · entrega electrónica adicional 5-15 € administración + medio + procesamiento · entrega papel adicional 0,15-0,30 € por hoja A4 + 5-10 € administración. (3) Solicitudes manifiestamente infundadas o excesivas (Art. 12.5 RGPD) · clínica puede negarse o cobrar canon excepcional · ejemplos · paciente solicita misma información 10 veces mismo mes sin justificación · solicitud completa diaria datos sin razón. Negativa debe estar motivada documentada · informar paciente derecho reclamación AEPD. (4) NO cobrar primera copia datos categoría especial salud incluso si volumen significativo · jurisprudencia AEPD clara · acceso datos salud derecho fundamental no condicionable económicamente. (5) Documentar tarifa copias adicionales pública política privacidad o documento accesible si clínica define · evita arbitrariedad caso por caso. (6) Considerar gratuidad copias adicionales como buena práctica relación paciente · coste real procesamiento es bajo si proceso digitalizado · litigio reputacional + AEPD es mucho más caro que copias adicionales.

8. Interacción Ley 41/2002 historia clínica · matices específicos

Ley 41/2002 básica reguladora autonomía paciente regula específicamente acceso historia clínica con matices propios complementarios RGPD. Art. 18 Ley 41/2002 establece · (1) Paciente tiene derecho acceso documentación historia clínica · obtener copia datos figuran. (2) Derecho NO se extiende perjuicio derecho terceros confidencialidad recogidos en historia · interés terapéutico paciente · ni derechos profesionales participantes elaboración · que pueden oponer reserva sus anotaciones subjetivas. (3) Centros sanitarios regularán procedimiento garantizar observancia normas. Diferencias prácticas RGPD vs Ley 41/2002 historia clínica · (1) RGPD aplica universalmente todos datos personales · Ley 41/2002 específica historia clínica. (2) RGPD permite acceso completo datos + información tratamiento · Ley 41/2002 protege "anotaciones subjetivas" profesional (observaciones impresiones diagnósticas previas confirmación · etc.). (3) RGPD fija plazo 30 días claro · Ley 41/2002 no plazo expreso (criterio razonable interpretado AEPD análogo RGPD). (4) RGPD permite reclamación AEPD · Ley 41/2002 vía judicial civil específica si negativa. Práctica recomendada · (1) Procesar siempre como petición RGPD Art. 15 (más amplio) + considerar Ley 41/2002 matices específicos. (2) Si paciente cita expresamente Ley 41/2002 · respetar específicamente sus límites + complementar con RGPD info no excluida Ley 41/2002. (3) Anotaciones subjetivas pueden excluirse parcialmente con motivación documentada · NO excluir totalidad información clínica bajo paraguas anotación subjetiva (abuso interpretación). (4) Datos terceros mencionados historia (familiares · contactos emergencia · etc.) deben anonimizarse o excluirse · protege confidencialidad terceros. (5) Profesionales sanitarios identificables historia · datos identificación profesional son legítimos visibles · NO datos personales profesional ajenos al rol asistencial.

9. Cuándo restringir acceso · derechos terceros e investigación

El derecho acceso paciente NO es absoluto · existen excepciones limitadas específicas justificables cuando colisiona con otros derechos protegibles. Excepciones admisibles RGPD + Ley 41/2002 · (1) Datos terceros mencionados historia clínica · pueden anonimizarse o excluirse específicamente · ejemplo · información sobre familiar paciente mencionado historia con datos personales identificativos · paciente puede acceder propia información NO datos familiar. (2) Anotaciones subjetivas profesionales sanitarios · Ley 41/2002 Art. 18.3 permite reservar anotaciones subjetivas profesional · interpretación restrictiva · solo anotaciones genuinamente subjetivas no clínicas relevantes. (3) Información perjudicial paciente · ejemplo psiquiátrico extremadamente sensible · puede entregarse en presencia profesional clínico que acompañe interpretación + soporte emocional · NO se niega acceso · se modula entrega. (4) Datos investigación clínica con anonimización irreversible · datos investigación post-anonimización irreversible NO siguen siendo datos personales paciente · no aplica derecho acceso individual. (5) Datos protegidos secreto profesional terceros · ejemplo · información sobre tercer paciente que paciente solicitante puede conocer indirectamente · debe anonimizarse. (6) Información sometida investigación judicial activa · puede haber restricciones temporales si autoridad judicial ha decretado secreto sumario. (7) Datos almacenados procesados terceros (laboratorios análisis · proveedores) cuando paciente directamente puede ejercer derechos contra responsable tratamiento principal (clínica) sin necesidad acceder cada subcontrato. Cualquier restricción debe motivarse documentadamente · informar paciente parcial · indicar derecho reclamación AEPD si discrepa. Recomendación · restricciones excepción no regla · ante duda · entregar.

10. Audit trail · qué registrar obligatoriamente proceso

• Fecha exacta recepción solicitud · soporte (email · postal · presencial · formulario web)
• Identificación solicitante · paciente directo o representante con documentación
• Verificación identidad realizada · método + documentación recibida + persona verificó
• Asignación responsable interno procesamiento (DPO · responsable clínica · auxiliar)
• Comunicaciones intermedias paciente · aclaraciones · ampliación plazo si aplica
• Categorías datos identificadas tratadas paciente solicitante
• Acceso realizado sistemas internos para consolidación datos · quién + cuándo
• Decisiones exclusión datos terceros · anotaciones subjetivas · investigación · con motivación
• Formato entrega · medio entrega · fecha entrega · acuse recibo paciente
• Si negativa parcial · motivación legal + comunicación derecho reclamación AEPD
• Coste copia entregada · primera gratuita · si adicional · canon aplicado documentado
• Archivo solicitud + respuesta + documentación verificación mínimo 5 años conservación
• Métricas internas · número solicitudes/mes · tiempo medio respuesta · % cumplimiento plazo
• Revisión periódica trimestral procedimiento por DPO · oportunidades mejora

11. Sanciones AEPD documentadas sector clínico privado

Las sanciones AEPD por incumplimiento derecho acceso paciente Art. 15 RGPD son frecuentes sector clínico privado España · y la AEPD publica resoluciones públicas accesibles consultables. Tipología infracciones + rangos sanciones · (1) Negativa entregar datos paciente · Art. 83.5.b RGPD · hasta 20.000.000 € o 4% facturación anual. Documentadas sector clínico 15.000-60.000 € casos típicos clínica privada. (2) Plazo incumplido sin ampliación motivada · sanción 5.000-30.000 € casos típicos. (3) Información incompleta respuesta · 3.000-15.000 €. (4) Verificación identidad inadecuada entrega datos a persona equivocada · brecha datos categoría especial · 60.000-300.000 €. (5) Cobro canon abusivo primera copia · 5.000-20.000 €. (6) Negativa parcial sin motivación adecuada · 3.000-15.000 €. (7) Falta procedimiento documentado tratamiento solicitudes derechos paciente · 5.000-30.000 €. Casos documentados últimos años · expediente AEPD 35.000 € clínica dental Madrid por no responder solicitud acceso 6 meses · expediente AEPD 45.000 € clínica estética Barcelona por entrega datos paciente a familiar sin verificación adecuada · expediente AEPD 15.000 € clínica dental Valencia por respuesta incompleta omitiendo destinatarios datos. Adicionalmente · publicación resolución sancionatoria boletín BOAEPD genera daño reputacional permanente difícil cuantificar.

12. Plantilla procedimiento operativo POE recomendada + checklist anual

Plantilla POE Procedimiento Operativo Estándar gestión peticiones acceso paciente Art. 15 RGPD recomendado clínica privada · documento 5-8 páginas con · (1) Objetivo · garantizar cumplimiento derecho acceso paciente RGPD + Ley 41/2002 sector sanitario. (2) Alcance · todas peticiones acceso datos personales paciente · cualquier canal recepción. (3) Responsabilidades · DPO supervisor general · responsable clínica decisor casos complejos · personal asignado procesamiento solicitudes · auxiliares apoyo verificación documentación. (4) Procedimiento paso a paso · recepción solicitud → verificación identidad → asignación responsable → consolidación datos sistemas → decisión casos restricción → preparación respuesta → revisión calidad → entrega → archivo. (5) Plantillas comunicación · acuse recibo paciente · solicitud documentación verificación adicional · comunicación ampliación plazo si aplica · respuesta entrega datos · negativa parcial motivada. (6) Plantillas formato entrega · estructura PDF estructurado documento por categoría datos. (7) Registro audit trail mandatorio · template archivable. (8) Métricas internas seguimiento · KPIs trimestrales. (9) Revisión periódica procedimiento · anual mínimo. Checklist anual revisión cumplimiento · (1) Procedimiento POE actualizado fechado firmado DPO + responsable clínica. (2) Plantillas comunicación actualizadas normativa vigente. (3) Personal formado procedimiento · certificados archivados. (4) Sistema audit trail funcional · trazabilidad recuperable últimos 5 años solicitudes. (5) Métricas trimestrales revisadas · plazos cumplidos · tipos solicitudes · oportunidades mejora. (6) Auditoría externa DPO o consultor RGPD especializado sector sanitario · anual mínimo. (7) Plan acción correctiva incidencias detectadas. La inversión procedimiento estructurado 1.500-4.000 € primera implementación + 800-2.000 €/año mantenimiento es defensa eficaz vs sanciones AEPD potenciales documentadas 15.000-60.000 € casos típicos sector.

Para política retención datos paciente que aplica también respuestas acceso ver /data-retention-policy. Para gestión cifrado datos paciente en sistemas internos y entrega segura respuestas acceso ver /encryption-key-management. Para roadmap compliance general integrando obligaciones derechos paciente con otros requisitos regulatorios clínica privada ver /compliance-roadmap.

Disclaimer: Información orientativa para clínicas privadas dentales y estéticas en España 2026. No constituye consultoría legal vinculante en RGPD ni asesoramiento DPO específico. La gestión derecho acceso paciente Art. 15 RGPD se rige por múltiples capas normativas acumulables · Reglamento UE 2016/679 RGPD · Ley Orgánica 3/2018 LOPDGDD · Ley 41/2002 básica autonomía paciente y derechos información documentación clínica · Ley 14/1986 General Sanidad · normativa autonómica complementaria cada CCAA sobre documentación clínica · criterios interpretativos AEPD vía resoluciones sancionatorias + dictámenes sector sanitario + informes específicos · jurisprudencia tribunales españoles sobre acceso historia clínica y datos personales sector sanitario · y normativa sectorial específica si aplica (cirugía estética · medicina deportiva · psicología clínica · etc.). La aplicación normativa requiere asesoramiento legal especializado RGPD + sector sanitario · particularmente respecto a · datos categoría especial salud Art. 9 · anotaciones subjetivas profesionales · datos terceros mencionados historia clínica · investigación clínica y anonimización · transferencias internacionales datos paciente · brechas seguridad datos categoría especial · y peticiones complejas representantes legales o herederos. Los rangos sanciones mencionados son orientativos basados en resoluciones AEPD públicas accesibles · pueden variar según gravedad · reincidencia · número afectados · y circunstancias específicas caso. Para asesoría específica peticiones acceso paciente recomendamos DPO certificado + abogado especializado RGPD sector sanitario. Última revisión: mayo 2026.